開発会社のAIが自動で修正案を出すと言うが、自社のソースコードが外部に送られても大丈夫？発注者が確認する5つのこと

開発会社から「最近はAIが自動で修正案を出してくれるので、確認が速くなります」と言われた。便利そうだとは思う一方で、「うちのソースコードがAIの会社に送られているのでは」と引っかかる方は多いはずです。

先に結論をお伝えします。AIが修正案を出すには、ソースコードの一部がAIの処理基盤に送られるのが通常です。送られること自体を問題視するより、「どのプランで」「どこに送られ」「保存や学習に使われるか」を契約と設定で確認できているかが分かれ目です。 確認すべき点は5つに絞れます。

この記事では、記事執筆時点（2026年10月）の公式情報をもとに、発注者が開発会社へ確認したいことを、そのまま使えるチェックリストと質問例にまとめます。

なぜソースコードが「外に出る」のか

AIによる修正案の提案は、人間が読む代わりにAIがコードを読み、問題点と直し方を文章やコードで返す仕組みです。AIの頭脳（モデル）は開発会社のパソコンの中ではなく、AI事業者やクラウド事業者の基盤で動いています。そのため、読ませたいコードは通信でそこへ送られます。

最近の例では、GitHubが2026年10月に、プルリクエスト（＝コードの変更を取り込む前に確認してもらう依頼）をAIが自動で調べ、脆弱性の指摘と修正案を出す機能を正式公開しました。

📰 出典：GitHub Changelog「AI scan for pull requests is generally available」

この機能のニュースについては別の記事でも取り上げています（GitHubがAIで脆弱性を見つけて直す機能を正式公開）。ここで押さえたいのは、こうした「自動で修正案を出す」仕組みは、他のAIツールでも同じ構造だということです。「送られるか」ではなく「送られた先で何が起きるか」を確認するのが現実的です。

発注者が確認したい5つのこと

1. 「どのAIサービスの、どのプランか」

同じツールでも、無料・個人向けのプランと、法人向けのプランでは、データの扱いが違うことがあります。たとえばGitHub Copilotでは、公式ドキュメントに次の趣旨の記載があります。

📰 出典：GitHub Docs「Copilot のモデルホスティング」（執筆時点）

• Copilot BusinessとEnterpriseのお客様のデータは、AIモデルの学習には使われない
• 個人向けプランでは、やり取りのデータが学習に使われうる（設定で止められる）

つまり、開発会社の担当者が個人のアカウントで作業していないかが最初の確認点です。会社契約の法人向けプランかどうかを聞きましょう。

2. 「どこで処理されるか」

モデルによって、動いている基盤が違います。上記の公式ドキュメントでは、モデルごとにOpenAI・Microsoft Azure・AWS・Google Cloud などで処理されると整理されています。

発注者として知りたいのは、技術の詳細ではなく次の2点です。

• 開発会社が使うモデル（基盤）は決まっているか、担当者が自由に切り替えられるか
• 取引先との契約や社内規程で「海外のサーバーに出してはいけない」などの制限がないか

制限がある場合は、使ってよいサービスだけを開発会社と事前に決めておきます。

3. 「保存されるか、学習に使われるか」

見るべき言葉は2つです。

• 保存（保持）期間：送ったコードや回答が、処理のあとどれだけ残るか
• 学習利用：AIの改善のために、送ったコードが使われるか

公式ドキュメントでは、事業者ごとに「ゼロデータ保持（＝処理後にデータを残さない取り決め）」の有無や、キャッシュ（一時保存）の期間が違うと説明されています。また、新しいモデルや試験提供の機能は、通常の取り決めの対象外になっていることがあるとも書かれています。

「うちは法人プランだから大丈夫」と一括りにせず、使うモデルと機能ごとに確認してもらうのが安全です。

4. 「何を送らないか」

AIが読むコードに、本来は混ざってはいけないものが入っていることがあります。

• パスワード、APIキー（＝外部サービスを使うための鍵）
• お客様の個人情報が入ったテストデータ
• 取引先から預かった、秘密保持契約の対象の資料

これらをAIに読ませない設定（読ませないファイルの指定、本物のデータを使わない運用）が、開発会社のルールにあるかを確認します。ルールが無い場合は、発注者側から「入れないでほしいもの」を一覧にして渡すのが効果的です。

5. 「契約と記録で確認できるか」

口頭の「大丈夫です」だけでは、後で確認できません。次の3点を書面にしておきましょう。

• 使ってよいAIサービスとプラン（変更するときは事前に連絡する）
• 送ってはいけない情報の範囲
• 万一の漏えい・不正利用が疑われたときの連絡の流れ

既存の秘密保持契約や業務委託契約に「生成AIの利用」の条項が無い場合は、追記の相談から始めて構いません。AI利用の契約面については、開発会社がAIでコードを書くと、うちのソースコードや資料はどこに保存される？や開発会社が「AIで開発しています」と言ったら確認したい10項目も参考になります。

やりがちな失敗

• 「AIを使わせない」と一律に禁止する：開発会社が黙って個人アカウントで使うリスクが逆に上がります。使ってよい範囲を決めるほうが安全です。
• ツール名だけを聞いて安心する：同じ名前でもプランや設定で扱いが違います。
• 一度確認して終わりにする：AIツールは機能やモデルが頻繁に変わります。半年に1回など、定期的に見直しましょう。

発注者がやること チェックリスト

• ☐ 開発会社が使うAIサービスの名前とプラン（法人向けか）を聞いた
• ☐ 担当者が個人アカウントで作業していないことを確認した
• ☐ 処理される場所と、保存・学習利用の有無を、公式の説明で確認してもらった
• ☐ 新しいモデルや試験提供の機能が、通常の取り決めの対象かを確認した
• ☐ AIに読ませてはいけない情報（鍵・個人情報・預かり資料）を一覧にして渡した
• ☐ 使ってよいAIサービスと連絡ルールを、契約か覚書に書いた
• ☐ 見直しの時期（半年に1回など）を決めた

開発会社への質問例

• 「修正案を出すAIは、どのサービスのどのプランを使っていますか。会社契約の法人向けプランですか」
• 「うちのソースコードは、どこの基盤で処理され、処理後に保存されますか。AIの学習には使われませんか」
• 「新しく出たモデルや試験提供の機能を使うとき、事前に私たちへ知らせてもらえますか」
• 「パスワードや個人情報がAIに送られないよう、どんな設定やルールを決めていますか」
• 「AI関連で使うサービスを変えるとき、どのタイミングで連絡をもらえますか」

まとめ

• AIが自動で修正案を出すには、コードの一部がAIの処理基盤に送られるのが通常です。
• 見るべきは「送られるか」ではなく、プラン・処理場所・保存と学習・送らないもの・契約の5点です。
• 法人向けプランでは学習に使われない旨を公式に示している事業者もありますが、モデルや機能ごとに条件が違うため、個別に確認してもらいましょう。
• 確認結果は書面に残し、半年に1回など定期的に見直しましょう。

※ 本記事は2026年10月時点の公式情報をもとにした一般的な解説です。サービスの規約・仕様は変わるため、最新の内容は各事業者の公式ドキュメントと、開発会社との契約でご確認ください。

あわせて読みたい関連記事